摘要

  • ARIN在 ARIN 58 预览 BGP Insight，目标是让组织看见自己的 RPKI 配置如何影响路由公告。
  • ARIN此前的演示列出 Invalid、Not Found 的解释、通向 Valid 的处理线索，以及基于最近一次 BGP 数据采集的变更预览。

路由安全最尴尬的时刻，往往发生在“我们已经开了 RPKI”之后。资源证书有了，ROA 也可能已经发布；可 BGP 里出现的那条路由，给出的起源验证结果偏偏不是团队预期的样子。

这就是 ARIN 想用 BGP Insight 理清的交界面。ARIN 在 10 月 23 日发布的 ARIN 58 第二日回顾中说，这项功能会帮助组织理解 RPKI 配置对路由公告的影响。截至 9 月 30 日，已有 9,673 家组织注册使用 ARIN 的 RPKI 服务，年增 27%；约七分之一的 Hosted RPKI 组织还没有创建任何 ROA。注册是一个起点，真正需要对照的是已经配置的授权与正在公告的路由。

ARIN在 ARIN 57 的路由安全演示里已经画出过这张界面草图：把资源证书上的前缀，与它们在全球 BGP 表里的出现情况摆在一起；解释 Invalid 或 Not Found；说明验证结果对公告的影响；展示走向 Valid 的路径；再试试看拟议中的改动会怎样。演示还点明，分析基于最近一次 BGP 数据采集。到 ARIN 58，这个方向有了更短的名字：BGP Insight。

ROA声明哪个自治系统可以起源某个前缀；BGP 路由则是网络实际能观察到的公告。RFC 6811 描述的起源验证，会把路由所称的起源 AS 与前缀持有者的授权进行比对。完整 AS_PATH 的逐段证明属于另一项检查。ARIN 自己的 RPKI 指南也描述了这条交接链：持有者发布签名声明，网络运营者再把声明与 BGP 公告相比较，为路由安全决策提供依据。

两份记录并排后，故障线索才不必靠猜。一条路由没有对应预期授权，可能提示 ROA 缺失、起源 AS 不符，或前缀长度设置需要检查。诊断界面的价值，是把差异讲明白，并让运营者在动手更改授权之前先查看可能后果。ARIN的旧演示展示过这种“如果这样改会怎样”的预览；10 月 23 日的回顾确认了功能预览，但没有公布全面开放日期。

屏幕上还应把“最近一次 BGP 数据采集”写清楚。每次诊断都对应一个观察时点；在那之后出现的路由，属于下一次观察。显示时间戳，运营者便能判断该更新 ROA、刷新视图，还是先查清当前公告。

来源：ARIN 58 第二日回顾、ARIN 57 路由安全演示、ARIN RPKI 指南与IETF RFC 6811。